Saudações a todos! Quem fala espanhol? Ótimo! Ganhamos esse prêmio porque, pela manhã, nosso time, o time espanhol, participou de um torneio de futebol e recebeu esse troféu, então peço desculpas à Argentina e à África do Sul por termos conquistado esse prêmio. Obrigado a todos por terem vindo à nossa apresentação. Antes de mais, deixe-me apresentar-lhe o meu amigo Juan Corrido, e eu sou Chema Alonso. Trabalhamos em uma pequena empresa espanhola Informatica64 e, antes de iniciar uma conversa sobre o assunto, quero apresentar nosso país.
A Espanha é um país pequeno no meio de tudo, está localizado entre Europa, África e América do Sul, porque esta é a nossa história. Se você nunca esteve na Espanha, deveria ir para lá. Eu sou de Madri, é uma cidade bonita, era a capital de um grande império há 500 anos. Se você vier a Madri, não se sentirá estrangeiro, porque se veio a Madri, já é Madri. Juanito de outra cidade, de Sevilha. Esta cidade foi a capital do Império Árabe no século VII, quando a Espanha era um país árabe. No slide, você vê a Torre Dourada, que é construída em ouro, que foi trazida para a Europa da América do Sul.
Sevilha é muito famosa por seu flamenco, festivais e monumentos - neste slide, um dos maiores monumentos arquitetônicos, a Plaza de España, você provavelmente conhece. Você deve visitar este monumento e se apaixonar, porque se Anakin Skywalker se apaixonar por Sevilha, você também poderá fazê-lo. Então não se esqueça de visitar o nosso país.
Juanito, de Triana, é uma pequena república independente em Sevilha, famosa pela Semana Santa, porque seus habitantes são muito religiosos e milhares deles realizam apresentações religiosas nesse momento e, é claro, depois que bebem.
Portanto, trabalhamos na Informatica64 e provavelmente muitos de vocês já ouviram falar de uma ferramenta que desenvolvemos chamada Foca. Esta é uma ferramenta gratuita que você pode usar para hackear informações, testes de penetração e assim por diante. Amanhã publicaremos em nosso workshop on-line às 8 horas uma nova e terceira versão deste programa, para que qualquer um de vocês possa participar do teste.
O tópico de nossa palestra hoje é sobre aplicativos remotos usando o Citrix e o Windows Terminal Service. As empresas as colocam nas nuvens. Em nossa apresentação, descreveremos como usar aplicativos com a extensão .ica e os arquivos do Serviço de Terminal, automatizando a análise de dados usando o FOCA. Isso permite que um invasor identifique software interno, redes internas e combine informações durante a verificação de PTR e durante ataques maliciosos usando arquivos do Excel. Como resultado, usaremos o complicado recurso de política de segurança dos aplicativos remotos do Excel, que permite aos hackers ignorar restrições de macro e obter informações confidenciais da empresa.
Anteriormente, realizamos uma grande quantidade de trabalho nesse tópico, no Citrix e no Windows Terminal Service, mas ainda acreditamos que isso é importante, porque até agora ninguém se preocupou seriamente com esse problema. Mostraremos como é fácil para um hacker se infiltrar nos dados da empresa usando essas ferramentas.
É muito fácil encontrar o ponto de entrada de uma empresa que está procurando aplicativos remotos ou conexões remotas via Google. Eles estão procurando arquivos .rdp. Você pode encontrar quase dois mil lugares, 2000 servidores publicando esses aplicativos. Você também pode encontrar sites governamentais que usam aplicativos remotos de "nuvem", basta clicar neles e ver o que acontece.
Você pode fazer a mesma coisa no BING. Você não pode usar o modificador de extensão de arquivo, mas pode usar o tipo de arquivo .txt e procurar qualquer modificador que apareça em todos os arquivos em milhares de aplicativos remotos encontrados.
Alguns dos lugares que descobrimos usando esses aplicativos remotos são sites do governo. No slide, você vê o sistema de gerenciamento de ordens de patrulha localizado no domínio .mil nos EUA, este é o site das forças armadas.
Íamos fazer uma demonstração com base neste site e conversamos com Jeff, mas hoje ele a corrigiu e não sabemos o porquê. Mas estamos prontos para mostrar uma experiência com outro site do governo - o Departamento de Transportes da Califórnia.
Apenas lendo esta página, na parte inferior, você encontra o aplicativo RouteCleaning remoto, que é um arquivo com a extensão .ica, e faça o download clicando no link. Vamos ver o que temos. Garanto-lhe, funcionou 5 minutos atrás. Bem, não tivemos sucesso, mas não se preocupe, temos outra demonstração.
Nesse ambiente, como veremos, há muitas coisas com que se preocupar e é muito difícil garantir a segurança de todos os aplicativos. Este slide com Leonardo DiCaprio não faz sentido, pois se refere a uma demonstração fracassada. Desculpe novamente, mas há 5 minutos realmente funcionou.
Você insiste em que tentemos novamente? Bem, digitaremos novamente o Departamento de Transportes da Califórnia no navegador. Não, não funciona novamente. Eles consertaram! Mas acredite, há 5 minutos tudo deu certo para nós. Bem, não se preocupe.
Vamos continuar. O maior problema com esses arquivos de configuração é a verbosidade. Você pode simplesmente ler os arquivos .txt e encontrar neles muitos tipos de informações, como o endereço IP interno e as senhas criptografadas do usuário. Você pode quebrar essas senhas criptografadas, mas não poderá acessar o sistema usando uma conta anônima ou conta de usuário. O mencionado aqui é um software interno. Portanto, esses arquivos são ideais para ataques cibernéticos específicos, como o APT, para pessoas que coletam informações para organizar esses ataques. Uma simples pesquisa de arquivos .ica na Internet torna possível detectar arquivos com uma senha para Oracle simplesmente no texto.
Para isso, você não precisa fazer nada de especial, há informações suficientes nesses arquivos. Portanto, decidimos adicionar esse tipo de arquivo à nossa ferramenta FOCA, que é usada para coletar informações e identificar os sites da empresa. Você já vê uma nova versão do programa, que estará disponível amanhã para aqueles que procuram esses tipos de arquivos e extraem informações deles.
O segundo grande problema é que são todos os arquivos de texto com a extensão .txt, para que o invasor possa modificar livremente os arquivos de configuração e acessar outras partes do sistema operacional. Ele pode gerar mensagens de erro no servidor; portanto, ao usar o Citrix, você receberá uma mensagem informando que esse arquivo ou aplicativo não está no servidor. Um hacker também poderá obter a lista inteira de aplicativos instalados no seu computador.
É muito simples fazer isso com os Serviços de Terminal - no modo de aplicativo remoto, o comando -0 dará acesso a toda a área de trabalho, e o comando -1 dará acesso apenas aos aplicativos. Versões com número <6 para protocolos RDP criam um shell alternativo, embora não funcionem com os Serviços de Terminal em 2008. Por exemplo, você recebe várias mensagens de erro, como "Acesso negado", porque esse arquivo pertence ao sistema operacional. Mas o fato de você não poder acessar esse arquivo significa que ele não está localizado no servidor, mas no computador.
O positivo é que você pode fazer o mesmo no Citrix, e não há proteção aqui para impedir uma conexão, outra conexão, outra e assim por diante, você nem precisa inserir o captcha.
Você pode otimizar esse procedimento com a ajuda de um programa criado por nós chamado CACA ("AS"), que é uma abreviação da frase "aplicativos de computador Citrix".
Você só precisa abrir “AS”, selecionar um arquivo .ica, ao lado do bloco de notas, você verá uma lista de configurações “não exceda”, “calcular”, “número de ameaças” e assim por diante, pressione o botão Iniciar e poderá tomar um café enquanto CACA faz o trabalho para você. Ela tenta abrir o aplicativo enquanto faz instantâneos; assim, quando terminar o trabalho, você poderá ver as mensagens de erro. Assim, você pode descobrir se esse aplicativo existe ou não no servidor. Você pode usar uma lista muito grande de aplicativos. Ao iniciar o "KAKA" no seu computador no início do dia, no final do dia, você receberá uma lista de aplicativos em "KAKA".
Outra coisa que pode ser feita com os Serviços de Terminal, chamamos "Tocando o Piano". Existem muitos links nos Serviços de Terminal e Citrix, especialmente no Windows 2008, muitas variáveis, como% SystemRoot%,% ProgramFiles%,% SystemDrive%, muitos atalhos de teclado e muitas funções que permitem que um hacker alcance essas partes do sistema, para que nem o administrador do sistema recebe.
Nós realmente gostamos do Windows Server 2008, porque ajudará em tudo! Se você solicitar um aplicativo que não esteja no sistema operacional, o Windows Server 2008 exibirá uma janela com um erro e um botão de ajuda. Por que não aproveitar essa cortesia? Portanto, quando você clica no botão Ajuda, o programa oferece a você a leitura do manual com muitos links que permitem abrir o IE, ativar o painel “Abrir arquivo”, executar algum tipo de comando e assim por diante.
"Tocar piano" permite que você use muitos atalhos de teclado para acessar várias partes do sistema operacional.
Ao usá-los, obtemos mais e mais novos atalhos de teclado.
Uma característica interessante é a função de teclas adesivas. Se você pressionar a tecla SHIFT três a quatro vezes seguidas, o sistema operacional exibirá um menu para definir a função das teclas de aderência no painel de controle. Portanto, mesmo que você não tenha acesso ao painel de controle por meio de teclas, você pode configurar todos os painéis de controle do sistema operacional simplesmente clicando em “Salvar”.
Agora, mostraremos uma demonstração no site da Citrix. Este é um site da Sitrix, mas esta página tem como objetivo demonstrar os recursos dos servidores, portanto nossa demonstração é totalmente legal.
Nós inserimos o nome de usuário e a senha e entram no ambiente Citrix. Você vê muitas aplicações aqui. Vamos usar o Excel, porque o tema da nossa apresentação é o Excel. Então, vamos para o aplicativo e execute o Excel.
O sistema está agora carregando componentes do cliente. Tudo está pronto, agora usamos o IE. Acredite, o Excel funciona, apenas a velocidade da Internet é baixa. Aqui, finalmente, a janela do Windows Server 2008 apareceu, estamos nos conectando ao Excel remoto. Muito devagar ... se alguém realizar um ataque intermediário a essa rede, pare de fazer isso (risos). O que aconteceu com a internet?
Muito, muito devagar ... bem, finalmente! Abrimos o Excel! Como você pode ver, os dados financeiros confidenciais da empresa apareceram na tela.
Esse arquivo deve ser protegido pelo ambiente Citrix, vamos tentar usar variáveis de ambiente para conectar-se ao diretório raiz. Como você pode ver, quando tentamos abrir a biblioteca "Meus documentos", recebemos mensagens de "Acesso negado", mas você pode fazer muitos truques.
Um desses truques é criar um atalho para o comando cmd e executá-lo ... não funciona! Eles consertaram. Não é assustador, existem muitos consoles. Crie um atalho para o PowerShell e execute-o. Como você pode ver, funcionou! Agora podemos acessar tudo o que precisamos.
Isso é muito difícil para nós, porque todos os dias os sistemas operacionais estão se tornando mais complicados e os aplicativos que publicam no servidor também estão se tornando mais complicados. Portanto, cada aplicativo que você publica nos Serviços de Terminal serve como uma maneira de acessar seu sistema operacional. Além disso, cada aplicativo é uma maneira de aumentar os privilégios de acesso. Aplicativos complexos são ideais para essas operações, e o Excel é um aplicativo tão complexo que as empresas publicam por meio de serviços para aplicativos remotos.
Essa é uma ferramenta muito poderosa, e os chefes adoram o Excel, porque você pode criar muitos gráficos e tabelas engraçados, analisar um monte de dados, conectar o Excel a bancos de dados, executar a mineração de dados e fazer muitas outras coisas favoráveis aos negócios.
Mas, para fazer tudo isso, você precisa de um ambiente Visual Basic. Você pode remover o Visual Basic do seu Excel, mas, ao mesmo tempo, ele se tornará um aplicativo completamente diferente e não permanecerá no Excel.
Portanto, a ideia é que, graças aos recursos do Visual Basic, você possa fazer muitas coisas com o Excel. Vamos demonstrar isso.
Portanto, temos o Windows 2008 com serviços de terminal e, nesse ambiente, publicamos o Excel 2007. Nós o usamos porque as políticas de segurança e as restrições de aplicativos são mais ou menos as mesmas. A principal diferença entre a segurança do MS Office 2010 e 2007 é a sandbox, ou seja, em relação aos arquivos que você baixa de uma fonte não segura na Internet. Porém, depois de baixar o arquivo no seu computador, as políticas de segurança do grupo serão as mesmas para as macros. Você pode usar macros não assinadas e macros de terceiros.
Assim, neste ambiente, podemos executar o Excel com macros. Por padrão, as políticas de segurança permitem ao usuário escolher se deseja ativar ou não as macros. No entanto, ao iniciar o Excel em um servidor remoto, essa opção é uma opção adicional e as macros são ativadas por padrão, pois o Visual Basic for Applications não funciona no computador local, mas no servidor. Esta é uma grande diferença.
Neste exemplo, criaremos um painel e você verá que, na mensagem da política de segurança, esta opção para trabalhar com a macro é selecionada pelo usuário - seja para permitir ou não que esse conteúdo seja usado. Obviamente, clicamos em "Permitir", após o qual um gráfico com indicadores financeiros da empresa aparece na tela.
Com essa atitude em relação ao aplicativo, você pode fazer muitas coisas, por exemplo, visualizar os processos em execução. Usando a Instrumentação de Gerenciamento do Windows, você pode usar os comandos para obter os resultados e exibi-los em um arquivo do Excel.
Fecharemos esta janela e retornaremos à apresentação. Depois de visualizar esta demonstração, fica claro que você deve cuidar da segurança do Excel em um ambiente remoto. A primeira coisa que o administrador do sistema deve cuidar é bloquear alguns consoles especiais, como -cmd.exe, -powershell, -script, -cscript. Mas há muitos consoles por lá e um backup no Windows Server 2008 cria cópias de todos esses painéis de controle. Isso cria um problema duplo, porque os consoles são duplicados. Nesse ambiente, todos os consoles são proibidos; por isso, usamos ACL ACLs e políticas de segurança, mas podemos até usar consoles de outro sistema operacional.
Essa idéia foi apresentada por Stevens e que você pode incorporar uma dll em um arquivo do Excel e que essa dll é um intérprete generalizado. Portanto, simplesmente chamando o intérprete da sua dll, você terá acesso ao servidor. Então, vamos ver a segunda demonstração, que trata de consoles proibidos. Iremos para o Windows Server 2008 e tentaremos executar o cmd.exe, que é proibido. Você vê que nada funciona para nós, porque esse console é proibido - uma inscrição parece que esse programa está bloqueado pelas políticas de segurança do grupo.
Mas o arquivo do Excel que estamos prestes a abrir contém .dll do ReactOS e .dll para o editor de registro, também do ReactOS. Portanto, abrimos a linha de comando pressionando o botão "Linha de comando" e agora o arquivo do Excel extrai o .dll para executá-lo. De fato, obteremos um interpretador de comando do ReactOS.
Você vê na tela que temos o interpretador de comandos ReactOS, que praticamente não é diferente do interpretador de comandos do Windows 2008. Portanto, esse é um bom truque.
Ao mesmo tempo, nenhum cmd.exe é visível no gerenciador de tarefas, porque é uma .dll dentro do arquivo do Excel e somente o aplicativo EXCEL.EXE pode ser visto no gerenciador de tarefas, para que a empresa atacada não suspeite de nada.
Vamos voltar aos nossos slides. Depois de ver a última demonstração, você pode dizer - ok, vou desligar todas as macros do meu computador. Mas o fato é que, de acordo com as políticas de segurança, desabilitar o Visual Basic significa proibir seu uso para todos os aplicativos de escritório, e não apenas para o Excel, isto é, afetará o Word, PowerPoint, Access e assim por diante.
Existem 4 opções de segurança de macro nas configurações do Excel: não use macros, use apenas macros assinadas, use macros a critério do usuário para cada caso específico e use todas as macros. Se o usuário for um hacker, ele selecionará 3 opções. Agora, mostraremos a demonstração do Excel, para a qual escolhemos a primeira opção - não use macros.
Novamente usamos o arquivo do Excel publicado através do ambiente remoto, portanto, retornamos ao Windows 2008 e saímos da conexão inativa à Internet. Em seguida, vamos aos políticos, marque a caixa de seleção "Ativar" para ativar as políticas de segurança e selecione o terceiro parâmetro "Nenhum aviso para todas as macros, mas com proibição de todas as macros" no menu suspenso.
Em seguida, clicamos nos botões "Aplicar" e "OK", aguardamos a alteração dos parâmetros, retornamos ao cliente e abrimos o arquivo do Excel. Este é um dos meus truques favoritos. Ao abrir um documento, você vê que nada pode ser feito porque tudo é proibido. , , .
Excel – trusted locations. – , , . , . , – , . , – Excel. , , . , , !
, – ! , – ! , , , . . , .
, 4 . : 1 – , 2- , – , 4 – . « ».
«», «» .
, Excel , , . « », « ».
, . , , . , , Certificate Import Wizard!
, , – « » « » ( ).
, , . , . CRL, CRL HTTP LDAP, HTTP SQL Injection, SQL . Excel -, , , , , CRL.
SQL, , , - CA DHS , . , , FOCA.
:
- DHS;
- ;
- Excel CA;
- URL CRL , , ;
- DHS Excel .
, , , , .
, , , -, , . Excel , . , .
TS Web Access – « TS Web Access». , , , HTTP. , , , .
, , !
:)
, . ? ? , ,
VPS $4.99 ,
entry-level , : VPS (KVM) E5-2697 v3 (6 Cores) 10GB DDR4 480GB SSD 1Gbps $19 ? ( RAID1 RAID10, 24 40GB DDR4).
Dell R730xd 2 - Equinix Tier IV ? 2 Intel TetraDeca-Core Xeon 2x E5-2697v3 2.6GHz 14C 64GB DDR4 4x960GB SSD 1Gbps 100 $199 ! Dell R420 - 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB - a partir de US $ 99! Leia sobre Como criar um prédio de infraestrutura. classe usando servidores Dell R730xd E5-2650 v4 custando 9.000 euros por um centavo?